HTTP/1.1

Le site met en lumière les risques de sécurité associés à l’utilisation de HTTP/1.1, un protocole de communication web largement utilisé. HTTP/1.1 est décrit comme intrinsèquement peu sûr, exposant potentiellement des millions de sites web à des risques de prise de contrôle hostile. Cette vulnérabilité est due à des failles dans la conception du protocole qui ne répondent pas aux normes de sécurité modernes. L’article appelle à une mobilisation collective pour abandonner HTTP/1.1 au profit de versions plus sécurisées comme HTTP/2 ou HTTP/3, qui offrent des améliorations significatives en matière de sécurité et de performance. ...

L’article publié par PortSwigger met en lumière des recherches menées par James Kettle sur des attaques de désynchronisation HTTP qui révèlent des failles fondamentales dans l’implémentation du protocole HTTP/1.1. Résumé exécutif : Les nouvelles classes d’attaques, telles que les attaques 0.CL et les exploits basés sur l’en-tête Expect, contournent les mitigations existantes et affectent des fournisseurs d’infrastructure majeurs comme Akamai, Cloudflare et Netlify. Un outil open-source est mis à disposition pour détecter systématiquement les divergences de parseur, ayant déjà permis de récolter plus de 200 000 $ en primes de bug bounty. ...